Et phishing-angrep skjer vanligvis gjennom følgende trinn:
- Forberedelse: Angriperen bestemmer seg for et mål og samler informasjon om det, for å gjøre angrepet mer overbevisende.
- Opprettelse av lokkemidlet: Angriperen lager en falsk e-post, melding, eller nettsted. E-posten kan se ut som den kommer fra en legitim kilde, som en bank, et sosialt nettverk eller en arbeidsgiver.
- Innføring av lenken eller vedlegget: Den falske e-posten eller meldingen vil ofte inneholde en lenke til et falskt nettsted som ser ekte ut, eller et vedlegg som angriperen vil at mottakeren skal åpne.
- Ofrets handling: Mottakeren av e-posten blir lurt til å klikke på lenken og oppgi sensitiv informasjon (som brukernavn, passord, kredittkortnummer) på det falske nettstedet, eller åpne vedlegget som kan inneholde skadelig programvare.
- Innhenting av informasjon: Hvis offeret faller for trikset og gir fra seg informasjonen, kan angriperen samle inn denne informasjonen for ulike formål, som identitetstyveri, økonomisk svindel eller annen ondsinnet aktivitet.
- Utnyttelse: Med den stjålne informasjonen kan angriperen få tilgang til offerets kontoer, utføre uautoriserte transaksjoner, stjele identitet, eller spre malware videre.
For å beskytte seg mot phishing er det viktig å være kritisk til uventede e-poster eller meldinger som ber om personlig informasjon, sjekke e-postadressen til avsenderen nøye, unngå å klikke på tvilsomme lenker, og sørge for regelmessig oppdatering av programvare og operativsystemer.
For å beskytte seg mot å bli utnyttet som en uskyldig tredjepart (f.eks. å være vert for en falsk webside) er det viktig å holde alle tredjeparts plugins som Wordpress, Joomla m.fl. oppdatert til enhver tid.